È stata presentata la release del sistema operativo UNIX-like OpenBSD 7.3. Il progetto OpenBSD è stato fondato da Theo de Raadt nel 1995 dopo un conflitto con gli sviluppatori di NetBSD, che ha portato alla chiusura dell'accesso di Theo al repository CVS di NetBSD. Successivamente, Theo de Raadt, insieme a un gruppo di sostenitori, ha creato un nuovo sistema operativo open source basato sul codice sorgente di NetBSD, con obiettivi principali di portabilità (supporto per 13 piattaforme hardware), standardizzazione, corretta funzionalità, sicurezza proattiva e strumenti crittografici integrati. La dimensione dell'immagine ISO completa per l'installazione del sistema base OpenBSD 7.3 è di 620 MB.
Oltre al sistema operativo in sé, il progetto OpenBSD è noto per i suoi componenti, che sono stati adottati in altri sistemi e si sono affermati come alcune delle soluzioni più sicure e di alta qualità. Tra questi: LibreSSL (fork di OpenSSL), OpenSSH, filtro di pacchetto PF, demoni di routing OpenBGPD e OpenOSPFD, server NTP OpenNTPD, posta elettronica OpenSMTPD, multiplexer di terminale testuale (analogo a GNU screen) tmux, demone identd con implementazione del protocollo IDENT, alternativa BSDL al pacchetto GNU groff — mandoc, protocollo per l'organizzazione di sistemi resilienti CARP (Common Address Redundancy Protocol), server http leggero, utility di sincronizzazione file OpenRSYNC. server Sono stati implementati sistemi di chiamata waitid (attesa di modifiche nello stato del processo), pinsyscall (per la trasmissione di informazioni riguardo al punto d'ingresso execve per protezione contro exploit ROP), getthrname e setthrname (per ottenere e impostare il nome del thread).
Principali miglioramenti:
- Sono stati implementati le chiamate di sistema waitid (attesa per il cambiamento di stato del processo), pinsyscall (per trasmettere informazioni sul punto di ingresso execve per proteggere dagli exploit ROP), getthrname e setthrname (per ottenere e impostare il nome del thread).
- Per tutte le architetture è stato coinvolto clockintr, uno scheduler per gli interrupt del timer indipendente dall'hardware.
- Aggiunto sysctl kern.autoconf_serial, che può essere utilizzato per monitorare i cambiamenti nello stato del device tree nel kernel dallo spazio utente.
- È stato migliorato il supporto per i sistemi multiprocessore (SMP). Sono stati resi mp-safe i filtri degli eventi per i dispositivi tun e tap. Rimosse le lock per le funzioni select, pselect, poll, ppoll, getsockopt, setsockopt, mmap, munmap, mprotect, sched_yield, minherit e utrace, così come ioctl SIOCGIFCONF, SIOCGIFGMEMB, SIOCGIFGATTR e SIOCGIFGLIST. È stato migliorato il funzionamento delle lock nel filtro pacchetti pf. Le prestazioni del sistema e dello stack di rete sono state aumentate su sistemi multi-core.
- L'implementazione del framework drm (Direct Rendering Manager) è sincronizzata con il kernel Linux 6.1.15 (nel rilascio precedente - 5.15.69). Nel driver amdgpu è stata aggiunta la supporto per la GPU Ryzen 7000 «Raphael», Ryzen 7020 «Mendocino», Ryzen 7045 «Dragon Range», Radeon RX 7900 XT/XTX «Navi 31», Radeon RX 7600M (XT), 7700S e 7600S «Navi 33». In amdgpu è stata aggiunta la supporto per la gestione dell'illuminazione di sfondo ed è garantito il funzionamento di xbacklight durante l'uso del driver X.Org modesetting. In Mesa il caching degli shader è abilitato di default.
- Sono stati apportati miglioramenti nell'hypervisor VMM.
- Sono state implementate funzionalità per una protezione aggiuntiva della memoria dei processi nello spazio utente: la chiamata di sistema mimmutable e la corrispondente funzione della libreria con lo stesso nome, che consente di fissare i diritti di accesso durante la mappatura in memoria. Dopo il fissaggio, i diritti impostati per l'area di memoria, ad esempio, il divieto di scrittura e di esecuzione, non possono essere successivamente modificati tramite successive chiamate alle funzioni mmap(), mprotect() e munmap(), che, se provate a modificare, restituiranno un errore EPERM.
- Nell'architettura AMD64 è stato attivato il meccanismo di protezione RETGUARD per le chiamate di sistema, mirato a rendere più difficile l'esecuzione di exploit basati sull'uso di code borrowing e tecniche di programmazione orientata al ritorno.
- È stata attivata la protezione contro l'exploitation delle vulnerabilità, basata sulla randomizzazione della ricompilazione del file eseguibile sshd ad ogni avvio del sistema. La ricompilazione rende imprevedibili gli offset delle funzioni in sshd, complicando la creazione di exploit che utilizzano metodi di programmazione orientati al ritorno.
- È stata fornita una randomizzazione più aggressiva della posizione dello stack sui sistemi a 64 bit.
- È stata aggiunta protezione contro la vulnerabilità Spectre-BHB nelle strutture microarchitetturali dei processori.
- Nei processori ARM64, per lo spazio utente e per il kernel, è stato attivato il flag DIT (Data Independent Timing) per bloccare gli attacchi tramite canali laterali, che manipolano la dipendenza del tempo di esecuzione delle istruzioni dai dati elaborati in queste istruzioni.
- Fornita la possibilità di utilizzare lladdr per determinare le configurazioni di rete. Ad esempio, oltre alla binding del nome dell'interfaccia (hostname.fxp0) è possibile utilizzare la binding all'indirizzo MAC (hostname.00:00:6e:00:34:8f).
- È stato migliorato il supporto per la modalità di sospensione nei sistemi basati sull'architettura ARM64.
- Espansa notevolmente il supporto per i chip ARM di Apple.
- Aggiunto supporto per nuove apparecchiature e inclusi nuovi driver.
- Nel driver bwfm per schede wireless basate su chip Broadcom e Cypress è implementato il supporto per la crittografia per WEP.
- L'installer ha migliorato la gestione dei RAID software e implementato il supporto iniziale per la crittografia dei dischi (Guided Disk Encryption).
- In tmux («terminal multiplexer») sono stati aggiunti nuovi comandi scroll-top e scroll-bottom per scorrere il cursore all'inizio e alla fine. Aggiornati i pacchetti LibreSSL e OpenSSH. Una panoramica dettagliata dei miglioramenti è disponibile nelle revisioni di LibreSSL 3.7.0, OpenSSH 9.2 e OpenSSH 9.3.
- Il numero di porte per l'architettura AMD64 è stato di 11764 (era 11451), per aarch64 — 11561 (era 11261), per i386 — 10572 (era 10225). Tra le versioni delle applicazioni nelle porte:
- Asterisk 16.30.0, 18.17.0 e 20.2.0
- Audacity 3.2.5
- CMake 3.25.2
- Chromium 111.0.5563.110
- Emacs 28.2
- FFmpeg 4.4.3
- GCC 8.4.0 e 11.2.0
- GHC 9.2.7
- GNOME 43.3
- Go 1.20.1
- JDK 8u362, 11.0.18 e 17.0.6
- KDE Gears 22.12.3
- KDE Frameworks 5.103.0
- Krita 5.1.5
- LLVM/Clang 13.0.0
- LibreOffice 7.5.1.2
- Lua 5.1.5, 5.2.4, 5.3.6 e 5.4.4
- MariaDB 10.9.4
- Mono 6.12.0.182
- Mozilla Firefox 111.0 e ESR 102.9.0
- Mozilla Thunderbird 102.9.0
- Mutt 2.2.9 e NeoMutt 20220429
- Node.js 18.15.0
- OCaml 4.12.1
- OpenLDAP 2.6.4
- PHP 7.4.33, 8.0.28, 8.1.16 e 8.2.3
- Postfix 3.5.17 e 3.7.3
- PostgreSQL 15.2
- Python 2.7.18, 3.9.16, 3.10.10 e 3.11.2
- Qt 5.15.8 e 6.4.2
- R 4.2.1
- Ruby 3.0.5, 3.1.3 e 3.2.1
- Rust 1.68.0
- SQLite 2.8.17 e 3.41.0
- Shotcut 22.12.21
- Sudo 1.9.13.3
- Suricata 6.0.10
- Tcl/Tk 8.5.19 e 8.6.13
- TeX Live 2022
- Vim 9.0.1388 e Neovim 0.8.3
- Xfce 4.18
- Aggiornati componenti di terze parti che fanno parte di OpenBSD 7.3:
- Stack grafico Xenocara basato su X.Org 7.7 con xserver 1.21.6 + patch, freetype 2.12.1, fontconfig 2.14, Mesa 22.3.4, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
- LLVM/Clang 13.0.0 (+ patch)
- GCC 4.2.1 (+ patch) e 3.3.6 (+ patch)
- Perl 5.36.1 (+ patch)
- NSD 4.6.1
- Unbound 1.17
- Ncurses 5.7
- Binutils 2.17 (+ patch)
- Gdb 6.3 (+ patch)
- Awk 12.9.2022
- Expat 2.5.0.
Fonte: opennet.ru
